Sicurezza in profondità
Come funzionano davvero gli attacchi e come ci si difende: provati dal vivo in laboratorio, con le regole RouterOS da copiare.
Immagine generata in locale con ComfyUI a partire da elementi scelti a caso. Come nascono le immagini
Bloccare DNS over HTTPS e DNS over TLS con MikroTik
Il DNS cifrato scavalca il filtro del router: come chiudere DoT e DoH su RouterOS 7 con la porta 853, una address list di nomi, il matcher tls-host e il dominio canary di Firefox, tutto provato in laboratorio.
DojoPort knocking su MikroTik: WinBox si apre solo a chi bussa
La porta di gestione del router resta chiusa a tutti e si apre per un'ora solo a chi tocca tre porte nella sequenza giusta. Le regole del firewall per RouterOS 7, tre modi di bussare da Linux (knock, nc e bash puro) e quanto ci si può fidare.
DojoHardening di base di un router MikroTik con RouterOS 7
Un MikroTik appena resettato con no-defaults=yes non ha nessun firewall: va benissimo sul banco per imparare, ma non va mai messo in rete così. Prima di installarlo servono sette passi di hardening: aggiornare RouterOS, sostituire l'utente admin, spegnere i servizi inutili e limitare gli altri agli indirizzi autorizzati, chiudere le porte di servizio sulle interfacce esterne, un firewall minimo che blocca tutto ciò che arriva da internet e una VPN per la gestione remota.
DojoDHCP server non autorizzato: come scoprirlo e bloccarlo con MikroTik
Un DHCP server non autorizzato, spesso un router WiFi da centro commerciale collegato "al contrario", manda in tilt una LAN in pochi minuti. Con MikroTik lo si scopre con /ip dhcp-server alert, che avvisa quando risponde un server diverso da quello valido, e lo si blocca con il DHCP snooping del bridge, che in RouterOS 7 accetta risposte DHCP solo dalle porte fidate.
DojoCome nascondere i router MikroTik della tua rete al traceroute
Un traceroute lanciato da un cliente mostra uno per uno i router della tua rete, con i loro indirizzi. Con una regola di mangle che incrementa il TTL (action=change-ttl new-ttl=increment:1) ogni router MikroTik diventa invisibile al traceroute, perché il pacchetto lo attraversa senza "consumare" un salto. La regola va limitata al traffico dei clienti e messa con criterio, per non complicare il troubleshooting.
DojoHotspot MikroTik: come proteggere la LAN dai client WiFi
In un hotspot MikroTik i client ospiti non devono poter raggiungere la rete del cliente (server, stampanti, NAS). Basta una regola nel firewall che usa il matcher hotspot=from-client; se la rete da proteggere non è nota in anticipo, perché la WAN prende l'indirizzo in DHCP, uno script del client DHCP la aggiorna da solo in una address list.